經過了幾天的Wireshark使用方法說明，今天拿個實際的封包檔案來玩看看吧。

這次的封包來源是一個流傳在網路的鑑識題目破解題組，就叫做Puzzles! （網址：http://forensicscontest.com/puzzles ），目前總共有9個題組，其中幾題還曾經是DEFCON的題目，而這些題目都是以一個叫做Ann的人最為主角，並描述他發生了什麼事情，並提供一個封包，讓大家來試著分析出發生了什麼事情並回答問題。

今天來介紹如何用Wireshark來解出第一個題組「Puzzle #1: Ann’s Bad AIM」（網址：http://forensicscontest.com/2009/09/25/puzzle-1-anns-bad-aim ），請先至該題網址中觀看詳細故事前提，並且把pcap檔下載下來。

首先是第一題：What is the name of Ann’s IM buddy?
把pcap檔用Wireshark打開後一筆一筆看，會發現其中有一段底色是紫色的封包如下圖。

點選第一個封包後，右鍵選擇Decode As，並把TCP Port為443的封包解譯為AIM，如下圖所示。並按下OK確認。

接著回來封包列表一看，發現剛剛列表中原本是SSL的封包經過解譯後，已經變為AIM封包如下圖。

在這些AIM封包中，可以發現多了AOL或AIM的詳細資訊，如下圖紅框處，這些就是Wireshark原本誤以為是SSL封包，但經過我們設定後轉譯為AIM所得到的資料，而在第25個封包裡面可以看到一段AIM Messaging, OUtgoing，裡面則會告訴你另一個Buddy的名字就是sec558user1，如下圖藍框處。

第二題：What was the first comment in the captured IM conversation?
從Wireshark看，First Comment 在第25個封包處，而也可以看到這個封包所含資訊就是題目要的第一句話，也就是「Here’s the secret recipe… I just downloaded it from the file server. Just copy to a thumb drive and you’re good to go >:-)」，如下圖紅框處

第三題：What is the name of the file Ann transferred?
這題可以直接用Google查AIM File transfer的port是什麼，而答案就是5190。

第四題：What is the magic number of the file you want to extract (first four bytes)?
既然知道是用哪個port來傳輸檔案後，我們可以在Wireshark過濾出流經5190這個port的封包，於是我們可以下「tcp.port == 5190」這個過濾式。取得封包列表後，經過右鍵Follow>TCP Stream，就可以依照昨天的教學，把裡面的檔案撈出來囉，而從封包中也可以看出檔名是recipe.docx，如下圖紅框處。
不過這題其實只要問開頭的兩個字（4個bytes）是什麼，相信經過昨天的文章說明，大家都已經知道就是docx檔案的開頭就是PK兩個字！也可以從封包內容中再次印證，如下圖藍框處。

第五題：What was the MD5sum of the file?
這一題是在問這個檔案的MD5值是多少，而這跟Wireshark沒什麼關係，用昨天的方法把檔案取出後，就可以隨便找一個可以產生MD5 Hash值的程式來完成，所以就直接跟你們說解答就是8350582774e1d4dbe1d61d64c89e0ea1。

第六題：What is the secret recipe?
把docx檔案打開後，就可以看到裡面的內容如下圖囉，而內容就是「Recipe for Disaster: 1 serving Ingredients: 4 cups sugar 2 cups water In a medium saucepan, bring the water to a boil. Add sugar. Stir gently over low heat until sugar is fully dissolved. Remove the saucepan from heat. Allow to cool completely. Pour into gas tank. Repeat as necessary. 」。

補充說明，AIM是AOL所推出的一套即時通訊工具，根據Wiki指出，這套軟體是由AOL於1997年5月發布，使用OSCAR立即傳訊協議和TOC協議，並已於2017年12月15日停止服務。真的是很歷史悠久呢，相信年輕的大家都沒用過，其實我也沒用過。其實很多網路上的範例封包，因為可能歷史悠久，所以都會包含一些現在根本就不會用到的協定或服務，雖然在現在的網路流量裡已經幾乎不會再看到了，不過大家就當作一邊玩Wireshark一邊學歷史吧，而且難保將來哪一天會不會再用到或是考試剛好考到呢！

再度補充，後來發現如果Wireshark沒有更新到最新版本，可能會出現無法由SSL解譯成AIM的狀況出現，如果沒辦法解譯的朋友可以試著更新試試看喔～